L2 VPN versus L3 tunel: pět kontrol, než propojíte lokalitu

Propojujete lokalitu, protože nějaký nástroj trvá na tom, že musí být ve stejné síti, a o tři týdny později čtete ve dvě ráno logy přepínače. Tenhle pocit rozhoduje o příliš mnoha spojeních Ethernet-over-IP. Záleží tu vlastně jen na jednom rozdílu: zda putují celé rámce od konce ke konci, nebo jen IP pakety. Proveďte následujících pět kontrol popořadě a zastavte se u první, která selže.

Zkontrolujte, co aplikace skutečně posílá do sítě

Než se v diskusi objeví jakékoli jméno produktu, zachyťte minutu provozu, který musí spojení přejít: tcpdump -i eth0 -nn -e 'not ip'. Parametr -e vypisuje hlavičku linkové vrstvy, což je přesně ta část, kterou směrovaný tunel zahazuje. Pokud zůstane záznam prázdný, vaše aplikace mluví IP a L3 tunel ji přenáší beze změny. Pokud se rámce přesto objeví, poznamenejte EtherType, protože 0x0806 je ARP, 0x88cc je LLDP a hodnota výrobce obvykle znamená objevovací protokol bez zálohy přes IP. To je bod, kdy běžné tun rozhraní přestává stačit.

Zachyťte provoz i na vzdálené straně. Rámec, který existuje jen uvnitř virtuálního přepínače jednoho hostitele, není důvod roztahovat broadcastovou doménu přes WAN.

Zkontrolujte, zda objevování musí překročit spojení

Směrovaný tunel nemá žádný sdílený segment, takže nic adresované skupině se na druhou stranu nedostane. ARP, broadcasty DHCP, mDNS na 224.0.0.251, SSDP a dotazy na jména NetBIOS všechny předpokládají spojení, které slyší několik hostitelů najednou.

Zeptejte se, na kterou z nich aplikace skutečně závisí a zda pro ni už existuje proxy. DHCP relay, odraz mDNS a statické záznamy ARP každý odstraňují jednu závislost a každý je další služba, kterou je třeba provozovat a sledovat. Když jich zbývají dvě nebo tři, je propojení poctivou odpovědí.

Zkontrolujte, kolik vás stojí hlavička navíc

Rámce potřebují někde žít, takže vše, co odešlete, dostane kolem sebe druhý zásobník hlaviček. V overlayu VXLAN to znamená vnější IP hlavičku, UDP hlavičku a 8bajtovou hlavičku VXLAN, což vytlačí plnohodnotný 1,500bajtový obsah za MTU cesty běžného internetového spoje o 1,500 bajtech. OpenVPN v režimu tap přidává vlastní režii stejným směrem. Bez nižší MTU na vnitřní straně dostanete spojení, které odpovídá na ping a zasekne se při prvním velkém přenosu.

Účet nekončí u bajtů hlaviček. Broadcast a multicast, které přepínač zpracovává v hardwaru, teď jezdí po WAN a každá propojená lokalita dědí stejný plán adres, rozsah DHCP a chování při duplicitních adresách. To dělá spojení podstatně obtížněji auditovatelné než směrovaný fond s jedním prefixem na lokalitu.

Spočítejte to, než zvolíte. Zaneprázdněný segment replikovaný do tří lokalit může přenášet víc broadcastového provozu než přenosy souborů, kvůli kterým vznikl.

Zkontrolujte, jaký druh L2 VPN vám nabízejí

Samotný termín je nejednoznačný a ta nejednoznačnost rozhoduje o tom, kdo ponese váš provoz. Někdy popisuje obsah: Ethernetové rámce uvnitř IP, posílané přes internet jako každý jiný tunel, jak to dělají VXLAN, ZeroTier a režim tap u OpenVPN. Někdy popisuje koupenou službu: okruh Ethernet od operátora nebo pseudovodič MPLS, který spojuje dvě lokality uvnitř jedné sítě poskytovatele.

Oba vám dají segment, takže je aplikace nerozezná, ale provozní rozdíl je velký. Overlay nechává na vás MTU, šifrování a spodní cestu. Služba operátora to přebírá a účtuje si to a vaše rámce vůbec nebude směrovat přes veřejný internet. Který chcete, závisí na tom, zda dvě lokality sdílejí operátora, nebo jen firmu.

Zkontrolujte levnější obejití, než propojíte

Většina žádostí o propojené spojení přichází z jednoho rozbitého vyhledávání, ne z protokolu, který rámce opravdu potřebuje. Nejdřív protlačte resolver a vyhledávací doménu směrovaným tunelem: dhcp-option DNS 10.8.0.1 společně s dhcp-option DOMAIN internal.example v konfiguraci serveru OpenVPN vyřeší překvapivé množství z nich. Místní forwarder na vzdálené straně udělá stejnou práci, aniž by přesunul jakýkoli broadcastový provoz.

Pokud jeden starší nástroj stále selhává, postavte ten nástroj za proxy nebo jump host na cílovém segmentu. Jeden TCP forwarder se provozuje levněji než propojený WAN.

Uzavřete rozhodnutí popořadě: nese provoz ne-IP EtherType, musí objevování překročit spojení, dokáže MTU pohltit hlavičky navíc, je okruh poskytovatele skutečně dostupný a selhalo směrované obejití z důvodu, který umíte pojmenovat? Ne v kterémkoli kroku ukončí spor ve prospěch tunelu, který už máte. Přiložte záznam a seznam EtherType ke záznamu o změně, protože další člověk položí stejnou otázku a nebude chtít měření opakovat.